Microsoft 365 absichern: Der Praxis-Leitfaden für KMU
Microsoft 365 ist bei den meisten österreichischen KMU der zentrale Ort, an dem gearbeitet wird: E-Mail, Dateien, Teams-Chats, Kalender, oft die halbe Firma. Genau deshalb ist es auch das lohnendste Ziel für Angreifer. Und ehrlicherweise ist die Grundeinstellung, mit der die meisten Umgebungen ausgeliefert und dann jahrelang unangetastet weiterbetrieben werden, nicht besonders sicher. Wer Microsoft 365 absichern will, muss keine Sicherheitssoftware nachkaufen. Die wichtigsten Hebel sind bereits in der Lizenz enthalten, nur eben nicht aktiviert. Dieser Beitrag zeigt die häufigsten Fehlkonfigurationen und wie du sie der Reihe nach behebst.
Warum die Standardeinstellungen nicht reichen
Ein frisch eingerichteter Microsoft-365-Tenant ist auf Bequemlichkeit optimiert, nicht auf Sicherheit. Das ist nachvollziehbar, denn Microsoft will, dass alles auf Anhieb funktioniert. Für dich heißt das aber: Vieles, was schützen würde, ist standardmäßig aus, und einiges, was gefährlich ist, ist standardmäßig an.
Der typische Angriff auf ein KMU läuft dabei fast nie über eine spektakuläre technische Lücke. Er läuft über ein gestohlenes Passwort. Jemand aus dem Team fällt auf eine gut gemachte Phishing-Mail herein, gibt seine Zugangsdaten ein, und plötzlich liest jemand anderes im Postfach mit, verschickt Rechnungen mit geänderter Kontonummer oder greift auf freigegebene Dateien zu. Der Großteil dieser Vorfälle wäre mit ein paar Einstellungen zu verhindern gewesen.
Der ehrliche Startpunkt: Secure Score
Bevor du irgendetwas verstellst, verschaff dir einen Überblick. Der Microsoft Secure Score im Defender-Portal bewertet deine Konfiguration und schlägt konkrete Verbesserungen mit Aufwandseinschätzung vor. Er ist kein Gütesiegel, ein hoher Score bedeutet nicht automatisch, dass du sicher bist, aber er ist ein ehrlicher, priorisierter Startpunkt. Arbeite die Empfehlungen mit dem größten Effekt zuerst ab, statt planlos an Reglern zu drehen.
MFA für alle, besonders für Admins
Wenn du aus diesem Artikel nur eine Sache mitnimmst: aktiviere Mehr-Faktor-Authentifizierung (MFA) für jedes Konto. Ein Passwort allein ist heute keine ernstzunehmende Hürde mehr. MFA verlangt zusätzlich eine Bestätigung, etwa per App am Handy, und macht ein gestohlenes Passwort weitgehend wertlos.
Besonders kritisch sind die Administrator-Konten. Ein kompromittiertes Admin-Konto bedeutet nicht nur ein Postfach, sondern die Kontrolle über den gesamten Tenant. Falls deine Umgebung noch mit den alten "Security Defaults" läuft, ist ein Grundschutz zwar aktiv, für differenzierte Regeln brauchst du aber Conditional Access. Setz dabei auf die Microsoft-Authenticator-App oder besser noch auf phishing-resistente Verfahren wie Passkeys. SMS-Codes sind besser als nichts, aber die schwächste MFA-Variante.
Getrennte Konten für Administration
Ein Fehler, den ich in fast jedem KMU sehe: Der Chef oder die IT-affine Kollegin arbeitet den ganzen Tag mit einem Konto, das gleichzeitig volle Admin-Rechte hat. Damit surft man, liest Mails, öffnet Anhänge und verwaltet nebenbei den kompletten Tenant. Das ist so, als würdest du den Generalschlüssel zur Firma dauerhaft am Schlüsselbund tragen und ihn auch beim Bäcker auf die Theke legen.
Trenn das. Ein normales Konto für die tägliche Arbeit, ein separates Admin-Konto, das nur zum Verwalten verwendet wird, kein Postfach hat und ausschließlich mit MFA zugänglich ist. Fällt dann das Alltagskonto einem Phishing-Angriff zum Opfer, bleibt der Schaden begrenzt.
Conditional Access: Regeln statt Zufall
Conditional Access ist das Werkzeug, mit dem du festlegst, unter welchen Bedingungen ein Zugriff erlaubt ist. Zum Beispiel: MFA immer erzwingen, Anmeldungen aus Ländern blockieren, in denen du schlicht keine Mitarbeiter hast, oder Zugriffe von nicht verwalteten Geräten einschränken. Gerade die geografische Einschränkung ist für ein regionales KMU aus Linz eine simple, wirksame Maßnahme.
Ein wichtiger Hinweis zur Lizenzierung: Conditional Access setzt Microsoft Entra ID P1 voraus. In Microsoft 365 Business Premium ist das enthalten, in den kleineren Business-Basic- und Business-Standard-Plänen nicht. Das ist einer der Punkte, an denen die günstige Lizenz an ihre Grenzen stößt. Für die meisten KMU ist der Aufpreis auf Business Premium jeden Euro wert, weil er genau diese Sicherheitsfunktionen freischaltet.
Legacy-Authentifizierung abschalten
Alte Protokolle wie POP3, IMAP oder die frühen Versionen von SMTP-Authentifizierung können mit MFA schlicht nichts anfangen. Angreifer wissen das und nutzen diese Hintertür gezielt, um MFA komplett zu umgehen. Solange Legacy-Authentifizierung erlaubt ist, ist deine MFA-Einstellung an dieser Stelle wertlos.
Prüf in den Anmeldeprotokollen, ob und wo diese alten Verfahren noch verwendet werden, meist sind es ein paar Uraltgeräte oder eine Drucker-Scan-Funktion, und schalte sie dann konsequent ab. Neue Tenants haben Legacy-Auth oft schon deaktiviert, ältere fast nie.
Phishing-Schutz schärfen
In Microsoft Defender für Office 365 lässt sich der Schutz vor Phishing deutlich über den Standard hinaus konfigurieren. Aktiviere den Identitätswechsel-Schutz für deine wichtigsten Personen (Geschäftsführung, Buchhaltung) und für deine eigene Domain. Damit erkennt das System Mails, die vorgeben, vom Chef zu kommen, aber von einer fremden Adresse stammen. Der klassische CEO-Fraud, bei dem die Buchhaltung eine dringende Überweisung anweisen soll, lebt genau von dieser Lücke.
Audit-Logs aktivieren, bevor etwas passiert
Diese Einstellung fühlt sich unspektakulär an, ist aber entscheidend. Wenn wirklich etwas schiefgeht, ist die erste Frage immer: Was ist passiert, wann, und über welches Konto? Beantworten lässt sich das nur, wenn das Audit-Log zu diesem Zeitpunkt bereits mitgeschrieben hat. Rückwirkend aktivieren geht nicht.
In neueren Tenants ist das Protokoll meist standardmäßig an, verlass dich aber nicht darauf, sondern prüf es. Beachte außerdem die Aufbewahrungsdauer: In den Business-Plänen sind die Logs nur begrenzt vorhanden, für längere Aufbewahrung braucht es Zusatzlizenzen. Wer forensische Analysen über Monate zurück braucht, stößt hier an eine echte Grenze der Standardlizenz.
Externe Freigaben unter Kontrolle bringen
SharePoint und OneDrive erlauben es standardmäßig recht großzügig, Dateien nach außen zu teilen, teils sogar über anonyme Links, die jeder mit der URL öffnen kann. Praktisch, bis eine solche Verknüpfung mit sensiblen Kundendaten irgendwo landet, wo sie nicht hingehört. Aus DSGVO-Sicht ist das in Österreich schnell ein meldepflichtiger Vorfall.
Beschränke externe Freigaben auf das, was du tatsächlich brauchst. Anonyme Links lassen sich abschalten oder mit einem Ablaufdatum versehen, und Freigaben lassen sich auf bestimmte Domains eingrenzen. Der Datenstandort ist übrigens ein separates Thema: Microsoft speichert Daten europäischer Kunden inzwischen in der EU-Datengrenze, was die DSGVO-Argumentation erleichtert, den Blick auf die eigenen Freigabe-Einstellungen aber nicht ersetzt.
Wo die Business-Lizenzen ehrlich an ihre Grenzen kommen
Damit hier kein falscher Eindruck entsteht: Mit Microsoft 365 Business Premium bekommst du ein solides Sicherheitsfundament, das für die allermeisten KMU ausreicht. Was fehlt, sind die Funktionen der großen Enterprise-Pläne wie erweiterte Bedrohungsanalyse über lange Zeiträume, umfassendes Log-Management oder automatisierte Reaktion auf Vorfälle. Für ein KMU mit 20 Leuten ist das selten der Engpass. Der Engpass ist fast immer, dass die vorhandenen Funktionen nicht aktiviert sind.
Wie du das anpackst
Du musst nicht alles an einem Tag umstellen. Eine sinnvolle Reihenfolge: erst MFA für alle und getrennte Admin-Konten, dann Legacy-Auth abschalten, danach Conditional Access, Phishing-Schutz und die Freigabe-Einstellungen. Teste jede Änderung an einem Konto, bevor du sie ausrollst, sonst sperrst du im schlimmsten Fall dich selbst aus.
Wenn du das nicht nebenbei erledigen willst oder unsicher bist, ob deine Konfiguration wirklich dicht ist: Genau dabei helfe ich als IT-Security-Beratung in Linz. In einem kostenlosen Erstgespräch schauen wir gemeinsam auf deinen Tenant und klären, welche Schritte bei dir den größten Unterschied machen.